แอปปลอมของ Ledger ปรากฏใน Apple Store ศิลปินดนตรีถูกขโมยเงินเกษียณที่เคยเก็บไว้จำนวน 5.9 บิตคอยน์

นักดนตรีชาวอเมริกัน G. Love (ชื่อจริง Garrett Dutton) เปิดเผยเมื่อวันที่ 11 เมษายน ว่า หลังจากดาวน์โหลดแอป Ledger Live ปลอมจาก Apple Mac App Store และป้อนวลีช่วยจำ 24 คำตามที่ระบบแจ้งทันที เขาสูญเสียบิตคอยน์ไป 5.92 เหรียญในทันที โดยคิดเป็นมูลค่า ณ ราคาตลาดมากกว่า 424,000 ดอลลาร์สหรัฐ

ลำดับเหตุการณ์: ความผิดพลาดร้ายแรงเมื่อย้ายอุปกรณ์

G. Love ระบุว่า เหตุการณ์เกิดขึ้นระหว่างที่เขาย้ายกระเป๋าเงินฮาร์ดแวร์ Ledger ไปยังคอมพิวเตอร์ Apple เครื่องใหม่ทั้งหมด เขาค้นหา “ Ledger Live ” ใน Mac App Store จากนั้นดาวน์โหลดแอปปลอมที่มีหน้าตาและอินเทอร์เฟซเหมือนจริงอย่างมาก และป้อนวลีช่วยจำครบทั้ง 24 คำตามที่ระบบแจ้ง หลังจากส่งวลีช่วยจำแล้ว ผู้โจมตีก็เสร็จสิ้นการโอนย้ายสินทรัพย์ทันที บิตคอยน์ 5.92 เหรียญหายไปภายในไม่กี่นาที

G. Love ระบุในโพสต์ของเขาว่า “นี่คือเงินออมเพื่อเกษียณที่ผมตั้งใจเก็บมาด้วยความยากลำบากตลอด 10 ปี ทุกคนที่ออกไปข้างนอกต้องระวังให้มากๆ นะครับ”

ปัญหาหลักของเคสนี้อยู่ที่ว่า แอปปลอมสามารถผ่านการตรวจสอบการนำขึ้นบน Apple App Store ได้สำเร็จ โดยแสดงต่อผู้ใช้ในช่องทางทางการด้วยชื่อที่ถูกต้อง และการที่แพลตฟอร์ม Apple ได้รับความไว้วางใจจนกลายเป็นแรงงัดครั้งใหญ่ที่สุดที่มิจฉาชีพใช้ในการหลอกลวง

ZachXBT สืบไล่: เงินไหลไปยังที่ต้องสงสัยว่าเป็น CEX โอกาสเรียกคืนแทบเป็นไปไม่ได้

การวิเคราะห์ข้อมูลบนเชนของ ZachXBT ยืนยันว่า บิตคอยน์ที่ถูกขโมย 5.92 เหรียญไหลผ่านกระเป๋าเงินที่ถูกระบุว่าเป็นที่อยู่สำหรับฝากเงินของ CEX และชี้ให้เห็นว่า การกระจายตัวของที่อยู่สำหรับฝากเงินจำนวนมากแสดงให้เห็นว่าโจรอาจทำการโอนเงิน “ต่อ” ผ่านการแลกเปลี่ยนแบบทันที (instant exchange) ซึ่งยิ่งเพิ่มความยากในการติดตามต่อไป

ZachXBT วิจารณ์ CEX อย่างชัดเจน โดยระบุว่า “จะแสดงท่าทีที่ดูเหมือนปฏิบัติตามกฎระเบียบก็ต่อเมื่อสอดคล้องกับผลประโยชน์ของตนเท่านั้น” และชี้ว่า หลังจากที่การแลกเปลี่ยนดังกล่าวได้รับใบอนุญาต MiCA ของสหภาพยุโรปในเดือน 11 ปี 2025 เพียงราวสามเดือนต่อมา ในเดือน 2 ปี 2026 ก็ถูกเพิกถอน ซึ่งสะท้อนให้เห็นว่ามีปัญหาเชิงลึกด้านการปฏิบัติตามกฎระเบียบ เขายังระบุด้วยว่า บริการผิดกฎหมายยังคงโอนเงินผ่านโบรกเกอร์และบัญชีส่วนบุคคลบนแพลตฟอร์มของ CEX นี้อย่างต่อเนื่อง และหน่วยงานกำกับดูแลจนถึงขณะนี้แทบไม่ได้ดำเนินการใดๆ

คำเตือนจากผู้เชี่ยวชาญด้านความปลอดภัย: กฎหลักของการป้องกันวลีช่วยจำ

Beau หัวหน้าด้านความปลอดภัยของ Pudgy Penguins ออกคำเตือนฉุกเฉินหลังจากเหตุการณ์ถูกเปิดเผย โดยย้ำว่าผู้ใช้กระเป๋าเงินฮาร์ดแวร์ทุกคนควรยึดหลักความปลอดภัยต่อไปนี้:

กฎสำคัญเพื่อการปกป้องวลีช่วยจำ

ห้ามป้อนวลีช่วยจำบนอุปกรณ์ที่เชื่อมต่ออินเทอร์เน็ต: ไม่ว่าเป็นคอมพิวเตอร์โน้ตบุ๊กหรือโทรศัพท์ สภาพแวดล้อมที่เชื่อมต่ออินเทอร์เน็ตไม่ควรใช้เป็นฉากสำหรับการป้อนวลีช่วยจำ

การดาวน์โหลดหรือการอัปเดตให้ถือว่าเป็นสิ่งที่น่าสงสัยไว้ก่อน: ก่อนที่คุณจะตรวจสอบด้วยตนเอง ข้อความใดๆ ที่เร่งให้ผู้ใช้ดาวน์โหลดหรืออัปเดตซอฟต์แวร์กระเป๋าเงินควรถือว่าเป็นการหลอกลวง

ช่องทางการหลอกลวงมีหลายรูปแบบ: แอปกระเป๋าเงินปลอมแพร่กระจายผ่านอีเมล โฆษณาปลอม และจดหมายทางกายภาพ ร้านค้าแอปอย่างเป็นทางการก็ไม่ใช่ว่าจะปลอดภัยได้อย่างแน่นอนเช่นกัน

ไปยังแหล่งทางการโดยตรง: การติดตั้ง Ledger Live ควรไปที่เว็บไซต์ทางการ (ledger.com) โดยตรง ไม่ใช่ค้นหาผ่าน App Store

คำถามที่พบบ่อย

เหตุใดจึงมีแอป Ledger ปลอมปรากฏใน Apple App Store?

แอปปลอมใช้ประโยชน์จากช่องโหว่ในกลไกการตรวจสอบของร้านแอป โดยใช้ชื่อและอินเทอร์เฟซที่ “ปลอมเลียนแบบ” อย่างสูงเพื่อผ่านการตรวจสอบการนำขึ้น แอปทั่วไปไม่สามารถแยกแยะว่าเป็นของจริงหรือของปลอมได้ด้วยเพียงหน้าในร้านค้า ดังนั้นเมื่อจะติดตั้ง Ledger Live แนะนำให้ไปดาวน์โหลดจากเว็บไซต์ทางการของ Ledger (ledger.com) โดยตรง โดยไม่ต้องผ่านขั้นตอนการค้นหาในแอปสโตร์

เหตุใดการป้อนวลีช่วยจำจึงทำให้บิตคอยน์ถูกขโมยได้ทันที?

วลีช่วยจำคือคีย์ข้อมูลต้นฉบับแบบสมบูรณ์ที่ใช้สร้างกระเป๋าเงินฮาร์ดแวร์ขึ้นใหม่ ใครก็ตามที่มีวลีช่วยจำ 24 คำสามารถสร้างกระเป๋าเงินขึ้นใหม่บนอุปกรณ์ใดก็ได้และควบคุมสินทรัพย์ทั้งหมดได้ แอปปลอมถูกออกแบบขึ้นโดยมีเป้าหมายหลักเพื่อหลอกล่อให้ผู้ใช้ป้อนวลีช่วยจำ เมื่อเซิร์ฟเวอร์เบื้องหลังได้รับแล้วก็จะดำเนินการโอนย้ายสินทรัพย์ทันที กระบวนการทั้งหมดเสร็จสิ้นภายในไม่กี่นาที

บิตคอยน์ที่ถูกขโมยมีโอกาสเรียกคืนได้หรือไม่?

จากการวิเคราะห์บนเชนของ ZachXBT เงินได้ไหลไปยังที่อยู่สำหรับฝากเงินที่น่าสงสัยว่าเป็น CEX และอาจมีการโอนเงิน “ต่อ” ผ่านการแลกเปลี่ยนแบบทันที ZachXBT ระบุอย่างชัดเจนว่า ไม่เชื่อว่า CEX จะช่วยในการเรียกคืนเงิน เมื่อพิจารณาร่วมกับข้อโต้แย้งด้านการปฏิบัติตามกฎระเบียบที่ใบอนุญาต MiCA ของการแลกเปลี่ยนดังกล่าวถูกเพิกถอนในช่วงไม่นานมานี้ ยิ่งทำให้ความเป็นไปได้จริงของการเรียกคืนสินทรัพย์อยู่ในระดับต่ำมาก